LAN mijozlari siyosat routerlash yoqilmaguncha router VPN'ini e'tiborsiz qoldiradi

Router internetga o'z tunnel'i orqali chiqadi, lekin uning orqasidagi noutbuk hali ham ISP manzilini xabar qiladi. Qabul qoidalarini qo'shish yordam bermaydi va bu muvaffaqiyatsizlik ibratlidir: filtrlash paket o'ta oladimi-yo'qmi degan savolga javob beradi, qayerga ketishiga emas. Interfeys tanlovini mijozlar ro'yxati haqida hech narsa bilmaydigan marshrut qidiruvi allaqachon qilgan. Qidiruvni tuzating, shunda xavfsizlik devori endi gumondor bo'lmaydi.

Filtr qoidasi interfeysni tanlay olmaydi

Linux routerida paket oqimi avval marshrut qarorini, so'ngra forward ilgagini bajaradi. Qoida chiquvchi tunnel qurilmasiga mos kelganda, yadro tunnel chiqish yo'li ekanini allaqachon hal qilgan bo'ladi. Agar asosiy jadval hali ham WAN standart marshrutini afzal ko'rsa, paket ISP tomon ketmoqda va siz hozir yozgan qabul qoidasi uni hech qachon ko'rmaydi. Tartib haqidagi shu bitta fakt yangi xavfsizlik devori qoidalarining butun sahifasi nima uchun hech narsani o'zgartirmasligini tushuntiradi.

Quyidagi misol br-lan ustidagi 192.168.8.0/24 LAN, tun0 tunnel qurilmasi va tunneldan foydalanishi kerak bo'lgan 192.168.8.23 manzilidagi bitta set-top box'ni ishlatadi.

Qoidalarni tahrirlashdan oldin qidiruvni o'qing

Yadrodan o'sha mijoz nomidan marshrutni hal qilishni so'rang. Javobda chiquvchi qurilma va tanlanadigan manba manzili bo'ladi, diagnostikani tasdiqlash uchun shu yetarli. Agar javobda WAN qurilmasi nomlansa, paketning sizning qoidangizga yetib borish imkoni bo'lmagan.

ip -4 route get 198.51.100.7 from 192.168.8.23

Oddiy yo'lda qolishi kerak bo'lgan mijoz uchun so'rovni takrorlang. Ikkala javob ham bir xil qurilmani nomlasa, manba bo'yicha siyosat hali ishlamayapti va tuzatish filtrlashga emas, marshrutlashga tegishli.

Qamrab olmoqchi bo'lgan mijozlarga jadvalni bog'lang

Siyosat routerlash asosiy jadvaldan oldin qoida qidiruvini kiritadi. Standart marshruti tunnel bo'lgan jadval quring, so'ngra bu jadvalni tanlagichga bog'lang: kirish interfeysi, manba manzili yoki xavfsizlik devori belgisi. Ustuvorliklar tartibni belgilaydi va asosiy jadval ro'yxatda ancha pastda, 32766-da turadi, shuning uchun kichik raqamli qoida birinchi ko'riladi. Interfeys tanlagichlari ko'prikdagi har bir mijozni qamrab oladi; manzil tanlagichlari bitta mashinani qamrab oladi.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Proshivka interfeyslari odatda siyosat routerlash yoki VPN siyosati sahifasidagi kabi obyektlarni ko'rsatadi. U yerdagi qurilmalar ro'yxatini qo'lda yozilgan qoidalarga qaraganda saqlash osonroq va qoidalar sintaksisini o'zgartiruvchi yangilanishlardan keyin ham odatda saqlanib qoladi.

Tanlagichni ataylab tanlang. Interfeys qoidasi qisqa va kelajakka bardoshli, lekin u o'sha ko'prikka keladigan routerning o'z boshqaruv trafigini ham ushlaydi. Manba qoidasi aniq va qurilmalar ro'yxati o'zgarganda har safar tahrir talab qiladi. Tanlovni yozib qo'ying, chunki bitta qurilma nega boshqacha ishlaydi deb so'raydigan keyingi odamga bu kerak bo'ladi.

Mahalliy manzillarni tunneldan tashqarida saqlang

Yangi jadval faqat siz kiritgan marshrutlarni biladi. LAN prefiksi yo'q, shuning uchun printer va NAS trafigi tunnelning standart marshrutiga ergashib yo'qolardi. Throw marshruti bu jadvaldagi qidiruvni tugatadi va qarorni asosiy jadvalga qaytaradi.

ip -4 route add throw 192.168.8.0/24 table 200

O'sha marshrutni o'tkazib yuborsangiz, mahalliy almashish buziladi, selektsiya mo'ljallangandan kengroq bo'lsa routerning o'z boshqaruv sessiyasi ham yo'qolishi mumkin. Keyin manba masalasini hal qiling: hali ham LAN manzillarini olib yurgan tunnel paketlariga uzoq tomon qaytish yo'lini bilishi kerak, tunnelda masquerading esa bu shartni olib tashlaydi va uzoq tomon ko'radigan mijoz identifikatsiyasini ham olib tashlaydi.

Ishlash vaqtida qo'shilgan qoidalar va marshrutlar qayta yuklash yoki proshivka yangilanishidan keyin yo'qoladi. Ularni routerning ishga tushish mexanizmiga qo'shing, bir marta qayta yuklang va mijozdan yana sinab ko'ring: uning ommaviy manzili, WAN'da qolishi kerak bo'lgan ikkinchi mijoz va yangi ulanish vaqtidagi tunnel hisoblagichlari.